SANGFOR-WOC-v9.1-2017年度渠道高級認證培訓(xùn)07-數(shù)據(jù)包分析案例說明書用戶手冊

SANGFOR

WOC數(shù)據(jù)包分析案例January

10,

2017培訓(xùn)內(nèi)容培訓(xùn)目標(biāo)數(shù)據(jù)包分析1.掌握在什么場景下需要對數(shù)據(jù)進行分析TCP三次握手1.掌握TCP3次握手的分析方法小包比率1.掌握小包比率的分析方法WOC案例拓撲分析數(shù)據(jù)包TCP3次握手分析數(shù)據(jù)包協(xié)議和小包比率Contents123網(wǎng)絡(luò)異常案例拓撲如下拓撲圖，客戶端訪問總部SERVER或辦公OA系統(tǒng)時異常（包括訪問不到，訪問時斷時續(xù)，頁面打開不全，上了加速反而變慢等情況），在經(jīng)過《渠道高級PPT常見問題排查》做完常規(guī)排查后，就需要抓包分析了。如下拓撲，可以在下面6個地方進行抓包，根據(jù)問題排查需要進行選擇。抓包分析目的1.PC發(fā)起的請求數(shù)據(jù)包是否到達客戶端WOC

2.PC和客戶端WOClan口的數(shù)據(jù)包TCP三次握手是否建立成功3.服務(wù)端WOC是否正常收到客戶端WOC的數(shù)據(jù)4.服務(wù)端WOC是否正常把數(shù)據(jù)包發(fā)給SERVER

5.服務(wù)端設(shè)備收到的請求是客戶端的真實IP，還是WOC服務(wù)端設(shè)備的IP6.服務(wù)端SERVER收到的數(shù)據(jù)包TCP三次握手是否成功7.分析數(shù)據(jù)包TCP和UDP數(shù)據(jù)包協(xié)議比率，數(shù)據(jù)包大小比率如何抓包如何抓包設(shè)備提供了web控制臺抓包，采用抓包工具tcpdump：tcpdump-i

eth0抓取eth0口所有的數(shù)據(jù)包tcpdump

-i

eth0

host抓取eth0口源或目的IP為的數(shù)據(jù)包如何抓包PC或者SERVER上，

采用wireshark抓包。wireshark需要PC管理員來安裝和運行WIRSHARK下載地址：/download.html如何抓包選擇正常的網(wǎng)卡抓包針對性的過濾數(shù)據(jù)包使用服務(wù)器的IP，過濾數(shù)據(jù)包針對性的輸出數(shù)據(jù)包輸出過濾后的數(shù)據(jù)包針對性的選擇數(shù)據(jù)包選擇

displayed的數(shù)據(jù)包，保存，然后繼續(xù)分析（該截圖

displayed無數(shù)據(jù)包，僅做舉例用）分析TCP數(shù)據(jù)3次握手找到syn請求數(shù)據(jù)包tcp.flags.syn==1選擇一個連接，follow

tcp

stream分析TCP三次握手分析數(shù)據(jù)包協(xié)議整體判斷協(xié)議分析數(shù)據(jù)包分析數(shù)據(jù)包——tcp包比率總流量中IP流量占到89.14%，TCP占IP流量的81.17%分析數(shù)據(jù)包——tcp包比率IP

ProtocolType分析數(shù)據(jù)包——tcp包比率TCP數(shù)據(jù)包比例越高，加速效果越好小包比率分析分析數(shù)據(jù)包——粗略分析小包比率分析數(shù)據(jù)包——粗略分析小包比率分析數(shù)據(jù)包——詳細分析小包比率過濾數(shù)據(jù)包分析數(shù)據(jù)包——詳細分析小包比率添加一個filter項tcp.len<=220分析數(shù)據(jù)包——詳細分析小包比率過濾出小于220byte數(shù)據(jù)包分析數(shù)據(jù)包——詳細分析小包比率查看小于220byte數(shù)據(jù)包的總體概要分析數(shù)據(jù)包——詳細分析小包比率Dispalyed的數(shù)據(jù)包，是小包的數(shù)量，小包比率越高，數(shù)據(jù)之間的交互越多，加速效果越不理想。練練手1、在PC上安裝wireshark,抓取數(shù)據(jù)包約1分鐘分析，分析數(shù)據(jù)包的TCP三次握手2、在PC上抓取到的數(shù)據(jù)包，分析指定的2個IP之間的所有數(shù)據(jù)包，小于220byte的數(shù)據(jù)比率深信服社區(qū)資料庫社區(qū)資料庫旨在為用戶提供最新、最全的產(chǎn)品資料！訪問方式：資料分類：通用資料產(chǎn)品介紹產(chǎn)品視頻行業(yè)案例技術(shù)白皮書新功能介紹配置手冊培訓(xùn)教材和視頻測試